Acredito que seja por que o CDN da VTEX é trabalhado em cima da estrutura Cloudflare... e por padrão a estrutura Cloudflare gera o certificado Lets Encrypt ou Cloudflare INC ECC CA-2
Fiz um teste de DNS CNAME no CDN da VTEX em uma loja (calcadosonline), e segue em anexo o resultado.